CVE-2026-104615
Cluster-Identitätsübernahme bei der Fleet-Cluster-Registrierung ermöglicht Zugriff auf den Fleet-Namespace eines anderen Clusters
- Veröffentlicht
- 30.10.2026
- Aktualisiert
- 30.10.2026
- CNA zuweisen
- suse
- Beweise beobachtet
- 30.10.2026
Primäres CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:H/I:L/A:HZusammenfassung
Eine Sicherheitslücke wurde im Cluster-Registrierungsablauf von SUSE Rancher Fleet entdeckt, in Fleet-Versionen vor 0.12, 0.13.0 bis 0.13.17, 0.14.0 bis 0.14.12, 0.15.0 bis 0.15.17 und 0.16.0 bis 0.16.3. Die von einer Registrierungsanfrage beanspruchte Cluster-Identität wurde akzeptiert, ohne an das Registrierungstoken gebunden zu sein, mit dem die Anfrage gestellt wurde. Infolgedessen konnte eine Registrierungsanfrage einem verwalteten Cluster zugeordnet werden, das ursprünglich mit einem anderen Registrierungstoken registriert worden war.
Quellen
PoCs & Write-ups zu CVEs, die ich gemeldet habe (koordinierte Offenlegung; nur veröffentlichte und gepatchte)
Verantwortungsvoller Umgang
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.